PHP 취약점 'PHP2Shell' 허니팟서 실제 셸 실행 35건 확인

퍼플렉시티 소속 보안 연구원 아델 카리미가 운영하는 허니팟 서버 3대에서 2026년 10월 24일 셸 실행 35건이 실제로 발생했다고 dailysecu.com이 보도했다. 취약점 'PHP2Shell'(CVE-2026-109618)을 노린 공격이 이론적 위협이 아니라 실제 명령 실행으로 이어진 사례다.

공격에는 IP 주소 2개가 사용됐다. 한 주소가 3건, 다른 주소가 32건의 셸 실행을 각각 만들어냈다. 공격 대상 시스템은 Apache mod_php 환경에서 PHP 8.4.26을 구동하고 있었다.

공격은 여러 단계로 나뉜 HTTP 요청으로 PHP 메모리를 소진시킨 뒤 내부 메모리 정보를 유출하고 명령을 실행하는 방식으로 이뤄졌다. 이 흐름은 공개된 개념증명(PoC) 코드와 CVE-2026-109618의 익스플로잇 방식과 일치했다.

다만 악성코드를 추가로 내려받는 등의 후속 악성 행위는 관찰되지 않았다. PHP 개발팀은 이미 수정 버전인 PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35를 공개했으며 즉시 업데이트할 것을 권고했다.

공개 직후부터 탐지된 공격 시도

PHP2Shell은 CVE-2026-109618과 CVE-2026-109619를 묶어 부르는 이름으로, 두 취약점 모두 CVSS v4.0 기준 9.2의 심각도로 평가돼 2026년 10월 21일 공개됐다. 독일 통신사 도이치텔레콤의 보안팀은 취약점 공개 직후 익스플로잇 코드와 유사한 요청을 관찰했고, 아마존 위협 인텔리전스는 공식 공개에 앞선 2026년 10월 17일부터 공격 시도를 탐지한 것으로 전해졌다.